read receipts
نتفلیکس شما را برای کلیک کردن بر روی ایمیل «کسی از حساب شما استفاده می‌کند» آموزش داد. کلاهبرداران متوجه شدند.
هشدار امنیتی که به‌طور همزمان یک فروش‌افزا است، بهترین هدیه‌ای است که سرویس‌های استریمینگ تا به حال به فیشرها دادند.
ایمیلی که می‌گوید «یک دستگاه در مکان جدیدی وارد حساب شما شد» دو کار را به‌طور همزمان انجام می‌دهد، و تنها یکی از آن‌ها مربوط به امنیت است. وقتی نتفلیکس اشتراک رایگان خانوار را متوقف کرد، مشترکان را به سمت یک افزایش پرداختی‌ای تحت عنوان «اعضای اضافی» سوق داد که در ایالات متحده حدود ۸ دلار در ماه بیشتر از بسته‌ی اصلی هزینه دارد — و تشویقی که مردم را به آنجا می‌برد تقریباً دقیقاً شبیه به طعم فیشینگی است که در پوشه‌ی هرزنامه شما قرار دارد. این شباهت تصادفی نیست. این کل مسئله است.
چرا ایمیل واقعی نتفلیکس شبیه یک کلاهبرداری به نظر می‌رسد؟
زیرا برای تحریک کردن همان حس بدیهی‌ای ساخته شده است که یک کلاهبرداری است: فوریت در مورد حساب شما، به اضافه‌ی یک دکمه‌ی واضح. راه‌اندازی پرداخت‌شده‌ی اشتراک‌گذاری نتفلیکس در می ۲۰۲۳ در ایالات متحده بر پیام‌رسانی در مورد دستگاه‌هایی که «بخشی از خانواده شما نیستند» تکیه کرد، از کاربران می‌خواست تأیید کنند، یک نمایه منتقل کنند، یا برای اضافه کردن یک عضو پرداخت کنند. همه‌ی آن‌ها قانونی است. همه‌ی آن‌ها نیز از نظر ساختار غیرقابل‌تمایز از الگوی «ورود غیرمعمول، الآن تأیید کنید» هستند که فیشرها سال‌ها از آن استفاده کرده‌اند.
شرکت گزارش کرد که این اقدام به‌عنوان یک موتور رشد کار کرد — تقریباً ۵٫۹ میلیون مشترک جدید در سه‌ماهه‌ای که فشار اشتراک‌گذاری پرداختی‌شده‌ی آمریکا فرود آمد اضافه کرد، عددی که انتظارات خیابان وال را شکست و دیدگاه کل صنعت در مورد اشتراک‌گذاری را به‌عنوان نشت قابل‌تبدیل به درآمد تغییر داد. بنابراین هشدار یک لوله‌کشی بی‌طرف نیست. این یک مکانیزم حفظ و فروش‌افزا است که یک نوار شناسایی به‌دست دارد که روی آن نوشته‌شده است SECURITY. اسپاتیفای، Disney+، و دیگران تغییرات مختلفی از همین بازی را انجام داده‌اند.
چگونه یک ایمیل جعلی از کنار شما عبور می‌کند؟
یک ایمیلی را کپی می‌کند که شما قبلاً یاد گرفته‌اید از آن اطاعت کنید. هنگامی که یک پلتفرم واقعی شما را به انتظار پیام‌های امنیتی حساب با یک دکمه‌ی بزرگ دوست‌داشتنی شرط‌بندی می‌کند، محافظت شما برای ایمیل‌های جعلی پایین می‌آید. کمیسیون تجارت فدرال ایالات متحده این الگوی دقیق را در هشدارهای مصرف‌کننده‌ی خود مشخص کرده است: پیام‌هایی که به‌عنوان سرویس‌های استریمینگ یا اشتراک‌بندی جا می‌زنند و مدعی‌اند که یک پرداخت ناموفق بود یا یک ورود مریب به نظر رسید، و شما را به سمت یک صفحه‌ی شبیه‌سازی می‌برند که رمز عبور و کارت شما را جمع‌آوری می‌کند.
نشانه تقریباً هرگز در طراحی نیست، به همین دلیل است که «آیا واقعی به نظر می‌رسد» را بررسی کردن شکست می‌خورد. این در هدرها است. یک پیام نتفلیکس واقعی از SPF و DKIM برای یک دامنه‌ی netflix.com عبور می‌کند و با DMARC هم‌راستا است؛ یک جعل معمولاً هم‌راستایی را ناموفق کند یا از یک دامنه‌ی مشابه مثل netffix-billing.com بیاید. حس شما نمی‌تواند SPF را بخواند. نرم‌افزار می‌تواند — یک صندوق‌ورودی AI خوب که فیشینگ را علم می‌کند احراز هویت را بررسی می‌کند پیش‌از اینکه شما تا به حال خط موضوع را ببینید. همچنین: روی دکمه قرار دهید. پیوندهای واقعی استریمینگ به دامنه‌ی خود برند می‌روند، نه به یک کوتاه‌کننده یا رشته‌ای از حروف تصادفی.
وقتی این‌گونه ایمیل‌ها به صندوق‌ورودی شما می‌رسند باید چه کاری انجام دهید؟
هرگز روی دکمه‌ی ایمیل کلیک نکنید — به برنامه بروید یا آدرس را خودتان تایپ کنید. این یک عادت است که کل این دسته‌ی کلاهبرداری را شکست می‌دهد، زیرا هر نسخه‌ی این کلاهبرداری به استفاده از پیوند آن‌ها به جای پیوند خود شما بستگی دارد. اگر حساب شما واقعاً دسترسی داشته است، آن را در تنظیمات خود تحت ورودهای اخیر می‌بینید، و می‌توانید رمز عبور را بازنشانی کنید و تمام دستگاه‌ها را از آنجا خارج کنید.
با پیام‌های ناموفق پرداخت به همان روش رفتار کنید. هدایت کمیسیون تجارت فدرال صریح است: شرکت‌هایی که شما با آن‌ها کسب‌وکار می‌کنید ایمیل نمی‌فرستند که لینک خواستار جزئیات کارت شما باشد تا از دست دادن سرویس را جلوگیری کند. اگر نتفلیکس می‌خواهد پول شما را بگیرد، این را در برنامه‌ای که قبلاً از طریق آن پرداخت می‌کنید به شما می‌گوید. بخش ناراحت‌کننده این است که پلتفرم‌ها این کار را عمداً سخت‌تر کردند. با درپوشی‌دهی بازاریابی به‌عنوان یک هشدار، آن‌ها سال‌ها یک میلیارد نفر را یاد دادند که یک ایمیل فوری حساب شایسته‌ی کلیک است. کلاهبرداران فقط در حال جمع‌آوری درس هستند.
منابع
- Netflix Q2 2023 shareholder letter — paid-sharing rollout and subscriber additions
- FTC Consumer Alerts — phishing posing as subscription/account-security messages
- Netflix Help: extra member and sharing — paid extra-member add-on and household verification